Segurança no Antimatter

Relatar um problema

Escreva o que você encontrou, como reproduzir e o que isso permite que alguém faça. Envie a menor prova que mostre o problema.

Contato de segurança

Um contato de segurança está a caminho. Até o operador definir um, esta página e o security.txt não citam nenhum em vez de inventar um.

Não há programa de recompensas aqui.

Enquanto você investiga

Teste só com sua própria conta, suas próprias chaves e seu próprio dinheiro.
Nunca leia, altere ou apague os dados de outra pessoa. Pare e nos avise assim que chegar a algum.
Crédito e depósitos são dinheiro de verdade. Prove uma falha neles com o menor valor, não fique com nada que ela der e diga o que você pegou para que possa ser devolvido.
Nada de negação de serviço, inundação, spam ou engenharia social contra pessoas ou contra o operador.
Dê ao operador tempo para corrigir um problema antes de falar dele em público.

O que está coberto

O site, a API em /v1, o servidor MCP hospedado em /mcp e o código que os serve.

Fora do escopo: os serviços dos quais o Antimatter depende (provedores de modelos, Privy, carteiras, redes), um dispositivo ou navegador já comprometido e um cabeçalho ou ajuste ausente que não permita a ninguém fazer nada.

Como contas e dinheiro são protegidos

Cada linha é uma regra que o código aplica hoje.

Entrar é uma assinatura da sua carteira sobre uma mensagem usada uma única vez. Não há senha para roubar.
Uma sessão dura 30 dias, é renovada enquanto você a usa e pode ser encerrada de qualquer outro dispositivo no painel.
Excluir uma conta, criar ou ampliar uma chave que gerencia dinheiro ou agentes, e todo ato do operador exigem uma nova assinatura da carteira, válida por 5 minutos.
As chaves de API são guardadas só como um resumo SHA-256 e mostradas uma vez, quando são criadas.
As chaves de provedor que você guarda são criptografadas em repouso e nunca mais são mostradas.
Toda alteração feita com seu cookie de sessão precisa vir das próprias páginas deste site.
As páginas rodam sob uma política de segurança de conteúdo que só executa scripts com o nonce novo da própria página.
Atos sobre contas e do operador são gravados em um log de auditoria ao qual só se acrescentam entradas.
O uso e o livro-razão são selados todo dia, então um recibo pode ser conferido sem confiar em nós.